Password monouso (OTP)

Una password monouso (OTP), conosciuta anche come password dinamica, è una password che può essere usata solo una volta, tipicamente durante un breve periodo di pochi secondi o minuti dopo che la password è stata emessa.

In alcune applicazioni, una serie di password monouso (OTP) sono predeterminate o addirittura stampate, ma nella maggior parte delle applicazioni oggi, una password monouso (OTP) è generata in tempo reale da un autenticatore software o hardware che un utente ha in suo possesso. L'autenticatore che l'utente ha condivide una chiave crittografica con il verificatore, che è il software che sta cercando di verificare l'identità dell'utente

Qualunque sia il modo in cui viene generato, ogni OTP può essere usato solo una volta. Il verificatore che controlla la password come mezzo di verifica dell'identità di un utente rifiuterebbe gli usi ripetuti di una password.

In molti casi, l'uso di un autenticatore OTP è solo un componente di un processo di autenticazione a più fattori. Combinando una OTP con un altro fattore come una password statica o una firma biometrica di qualche tipo, le informazioni possono essere più sicure di una password statica memorizzata da sola.

L'adozione di OTP (One time passwords) può offrire un'alternativa più sicura o anche integrare una password statica memorizzata come parte di un processo di autenticazione a più fattori. Questo perché una password che è stata compromessa sarebbe di scarsa utilità per qualcuno che cerca di compromettere un account o un'applicazione.

Con le password statiche, un hacker o un truffatore che ottiene la password di un utente avrebbe accesso a informazioni potenzialmente sensibili finché la password non viene cambiata. In uno scenario ancora peggiore, chiunque abbia compromesso quell'account potrebbe cambiare la password prima che il legittimo proprietario possa cambiarla e mettere al sicuro le proprie informazioni.

A causa della loro natura monouso, le OTP hanno il potenziale di proteggere un'applicazione o un account in modo che anche nel caso in cui un attaccante catturi una password, non sarebbe in grado di riutilizzare la password in un secondo tentativo. Un utente che cade vittima di una truffa di phishing o di un malware che cattura le sue digitazioni sarebbe comunque protetto. Le informazioni rimarrebbero al sicuro dai metodi convenzionali di furto di password.